Unified Communications Manager

Die Schwachstelle betrifft mehrere Produkte der Cisco Unified Communications-Familie – darunter den Unified Communications Manager und seine Session-Management-Variante, den IM-&-Presence-Dienst, Cisco Unity Connection sowie die dedizierte Instanz von Webex Calling. Ursache ist eine unzureichende Prüfung von Benutzereingaben in HTTP-Anfragen. Ein Angreifer kann die Lücke aus der Ferne und ohne vorherige Anmeldung ausnutzen, indem er eine Folge speziell präparierter HTTP-Anfragen an die webbasierte Verwaltungsoberfläche eines betroffenen Geräts sendet. Auf diese Weise schleust er eigene Befehle ein und erlangt zunächst Zugriff auf das zugrunde liegende Betriebssystem auf Benutzerebene. Von dort kann er seine Rechte bis auf Root-Ebene ausweiten und damit die vollständige Kontrolle über das System übernehmen. Da es sich um zentrale Telefonie- und Kommunikationsinfrastruktur handelt, ist eine Übernahme besonders folgenreich, und die Verwaltungsoberfläche bildet einen unmittelbar exponierten Angriffspunkt.